eIDAS 2.0 explicado: o que significa para a sua empresa

Até ao final de 2026, os Estados-Membros da UE devem disponibilizar aos cidadãos e às empresas acesso a uma carteira de identidade digital. As organizações que emitem ou verificam documentos relacionados com identidade (de câmaras de comércio a bancos, seguradoras e plataformas de contratação pública) trabalharão cada vez mais com credenciais verificáveis em vez de PDFs e e-mail.

Os primeiros a adotar obtêm uma vantagem estrutural: integração mais rápida, menor risco de fraude, verificações de conformidade automatizadas e preparação para regulamentos obrigatórios antes de entrarem em vigor. As organizações que esperarem enfrentarão um calendário de transição comprimido, com maior custo e disrupção.

O primeiro regulamento eIDAS, Regulation (EU) No 910/2014, fez duas coisas. Tornou os sistemas nacionais de identidade eletrónica reconhecíveis além-fronteiras, para que um início de sessão emitido num Estado-Membro pudesse abrir um serviço público noutro. Deu também aos serviços de confiança, como assinaturas eletrónicas, selos e selos temporais, uma base jurídica válida em toda a União.

Na prática, a primeira metade nunca chegou verdadeiramente. Notificar um sistema nacional era voluntário, pelo que, no início da década de 2020, uma grande parte dos europeus não tinha qualquer identidade eletrónica notificada, e os sistemas existentes raramente funcionavam fora do seu próprio país. Nada obrigava as organizações privadas a aceitá-los, o que levou bancos, operadores de telecomunicações e plataformas a construírem as suas próprias verificações de identidade.

O eIDAS 2.0, Regulation (EU) 2024/1183, mantém os serviços de confiança e reconstrói a parte da identidade em torno do titular. Cada Estado-Membro passa a ter de oferecer uma carteira, em vez de apenas poder notificar um sistema, um conjunto definido de organizações privadas tem de a aceitar, e os factos verificados sobre uma pessoa ou uma empresa passam a ser um serviço de confiança por direito próprio. É o titular que decide o que é partilhado em cada transação, e é essa mudança que faz o resto funcionar.

Para uma empresa, a diferença prática está no sentido da mudança. No quadro anterior, era a empresa que escolhia se apoiava a identidade eletrónica, e normalmente concluía que não valia o esforço. No novo, a infraestrutura chega de qualquer forma, as suas contrapartes recebem-na sem custos, e a questão passa a ser com que rapidez consegue tirar partido dela.

O eIDAS 2.0 aplica-se a dois níveis. Os Estados-Membros devem construir e operar a infraestrutura da Carteira Europeia de Identidade Digital e disponibilizá-la aos cidadãos e às empresas. As organizações que emitem ou verificam documentos relacionados com identidade, incluindo câmaras de comércio, bancos, seguradoras, agências governamentais e plataformas de contratação pública, precisam de poder emitir credenciais para essa carteira ou aceitar credenciais nela apresentadas.

A implementação segue um calendário fixo. Até ao final de 2026, todos os Estados-Membros da UE devem disponibilizar aos cidadãos e às empresas o acesso a uma carteira de identidade digital. Antes dessa data, espera-se que as organizações que emitem ou verificam credenciais tenham a capacidade técnica para trabalhar com credenciais baseadas em carteira, uma vez que a procura por parte dos titulares de carteiras surge no momento em que a própria carteira fica disponível.

Na prática, preparar-se significa três coisas: alinhar os formatos das credenciais com as normas em que a carteira assenta (W3C Verifiable Credentials, mdoc, OpenID4VC), ligar-se a um registo de confiança para que as credenciais emitidas possam ser verificadas sem contactar diretamente o emissor, e adotar uma arquitetura de privacidade desde a conceção que mantenha as credenciais na própria carteira do titular, em vez de num registo partilhado, e partilhe apenas os atributos de que um verificador precisa. As organizações que começam cedo evitam o calendário de transição comprimido, o custo mais elevado e a disrupção que surgem quando se espera até o prazo estar próximo.

A obrigação principal é a própria carteira. Até 24 de dezembro de 2026, cada Estado-Membro tem de disponibilizar pelo menos uma European Digital Identity Wallet, gratuita para as pessoas singulares, e garantir que funciona para cidadãos, residentes e empresas. As administrações públicas têm de a aceitar a partir da mesma data, no seu país e para titulares de qualquer outro Estado-Membro.

Por trás da carteira há uma engrenagem que é tão importante para uma empresa quanto a própria carteira e que atrai muito menos atenção. Os Estados-Membros têm de garantir que os dados de identificação pessoal podem ser emitidos para a carteira e que fontes autênticas, como registos comerciais, registos de ensino e ordens profissionais, conseguem fornecer os seus dados por via eletrónica. Têm também de certificar as soluções de carteira e publicar quais estão aprovadas.

Duas destas entregas são aquelas de que uma relying party depende no dia a dia. Tem de existir uma forma de verificar, gratuitamente, que uma carteira que apresenta uma credencial é autêntica e continua válida. E tem de existir um registo nacional de relying parties, que é onde a sua organização se inscreve antes de poder pedir seja o que for a uma carteira.

O progresso é desigual, por isso acompanhe o seu próprio Estado-Membro em vez da média europeia. A data é a mesma em todo o lado, mas qual a autoridade que gere o registo de relying parties, quanto tempo demora a inscrição e que fontes autênticas são ligadas primeiro são decisões nacionais. É isso que determina quando pode realmente começar.

Os serviços de confiança são a parte do eIDAS que a maioria das empresas já utiliza sem lhe dar esse nome. São o que faz um documento ou uma mensagem eletrónica ter peso jurídico: assinar, selar, datar, entregar de forma registada e, agora, atestar factos sobre uma pessoa ou uma organização.

A palavra que importa é qualificado. Um serviço qualificado vem de um prestador que é supervisionado e consta de uma lista de confiança nacional, e goza de uma presunção legal em todos os Estados-Membros. Um tribunal parte do princípio de que a assinatura, o selo ou o selo temporal são o que dizem ser, e quem os contesta tem o ónus da prova. Um serviço não qualificado pode continuar a ser uma prova perfeitamente válida, mas cabe-lhe a si demonstrá-lo.

Os serviços de confiança e a carteira são duas metades do mesmo quadro. A carteira é a forma como uma credencial chega à outra parte e como o titular escolhe o que revelar, enquanto os serviços de confiança são o que faz o conteúdo ter valor depois. A maioria das organizações acaba por usar vários ao mesmo tempo: um selo naquilo que emite, uma atestação para os factos de que pode responder e uma assinatura sempre que uma pessoa tem de se vincular.

A partir de 24 de dezembro de 2027, aceitar a European Digital Identity Wallet deixa de ser opcional para grande parte do setor privado. A obrigação segue a exigência de autenticação forte do utilizador, por isso o que decide é a forma como identifica as pessoas, não o rótulo do seu setor.

A regra percebe-se melhor com exemplos. Um banco já faz uma verificação forte quando alguém abre uma conta ou confirma um pagamento, pelo que a carteira tem de passar a ser uma das formas de satisfazer essa verificação. Um operador de telecomunicações que confirma uma identidade antes de ativar uma assinatura, um fornecedor de energia que muda um contrato e uma seguradora de saúde que inscreve um novo beneficiário estão todos na mesma situação.

O mesmo se aplica muito para além dos nomes regulados mais óbvios. Uma universidade que matricula alunos, um operador de transportes que emite um passe de funcionário, um organismo de segurança social que paga prestações e uma plataforma em linha de muito grande dimensão que autentica utilizadores caem todos dentro da obrigação a partir do momento em que identificam alguém. Se já hoje submete pessoas a uma verificação formal de identidade em linha, parta do princípio de que está abrangido e avance a partir daí.

Vale a pena ter presentes dois limites. A obrigação é desencadeada pelo utilizador, que pede para usar a sua carteira em vez de lha imporem, e abrange o passo de identificação e não toda a relação. Também não é uma licença para pedir mais: só pode solicitar os dados que o seu registo de relying party cobre, o que na maioria dos casos é menos do que um documento digitalizado lhe teria dado.

A administração pública vem primeiro. Assim que as carteiras estiverem disponíveis, o que tem de acontecer até 24 de dezembro de 2026, tem de as aceitar em todos os pontos onde já exige identificação eletrónica, no seu próprio país e para cidadãos de outros Estados-Membros.

As microempresas e as pequenas empresas estão isentas da obrigação de aceitação. As plataformas em linha de muito grande dimensão designadas ao abrigo do Digital Services Act ficam abrangidas sempre que autentiquem utilizadores, embora o regulamento não lhes fixe uma data própria.

Se a sua organização não consta de nenhuma das duas listas, a pergunta prática continua a ser a mesma. Cada verificação de identidade que faz hoje pode transformar-se numa credencial apresentada a partir de uma carteira em segundos, com menos fraude, sem tratamento de documentos e sem dados que tenha de guardar e proteger.

A European Digital Identity Wallet é construída em torno de uma pessoa. É o formato certo para provar quem está à sua frente e o formato errado para a maioria dos processos entre empresas, que giram antes em torno da organização: com que entidade jurídica está a lidar, quem pode agir por ela e até onde vai esse poder.

O eIDAS 2.0 já permite que uma organização detenha credenciais e receba atestações sobre si própria, pelo que os dados da empresa já hoje podem circular através de uma carteira. O que não resolve é a camada administrativa à volta disso: mandatos, poderes de representação, submissões e a troca de documentos entre empresas e organismos públicos que continua a fazer-se por portais e correio eletrónico.

Em 19 de novembro de 2025, a Comissão Europeia propôs um regulamento separado para a European Business Wallet, precisamente para cobrir essa camada. Ainda está a percorrer o processo legislativo, pelo que ainda não há uma data para planear, e ninguém deve esperar por ela para agir.

A preparação útil não é técnica. Decida desde já quem na sua organização é responsável pelas credenciais da empresa e quem pode vincular a empresa, porque é isso que qualquer carteira terá de exprimir. Chegar a acordo internamente costuma demorar mais do que construir a integração.

O eIDAS 2.0 é supervisionado, não é autodeclarado. Cada Estado-Membro designa um organismo que fiscaliza os prestadores qualificados de serviços de confiança e pode retirar o estatuto de qualificado, e um organismo que supervisiona os fornecedores de carteiras que operam no seu território. As autoridades de proteção de dados mantêm o seu próprio papel sempre que estejam envolvidos dados pessoais, o que nesta matéria é quase sempre.

O registo como relying party é a parte que toca mais diretamente nas empresas comuns. Como o seu registo declara o que lhe é permitido pedir a uma carteira, pedir mais é visível, denunciável e algo sobre o qual um organismo de supervisão pode agir. Os Estados-Membros têm de estabelecer sanções para as infrações ao regulamento e torná-las efetivas, proporcionadas e dissuasivas, e os montantes são fixados a nível nacional.

Para a maioria das organizações, porém, o primeiro custo do atraso não é uma coima. É um cliente que consegue provar algo em segundos a quem se pede antes que carregue uma digitalização, um concorrente que o angaria nessa mesma tarde e uma pergunta de um concurso a que não sabe responder bem.

O segundo custo é o do calendário. Tudo o que consta da lista abaixo tem prazos medidos em meses e não em semanas, e tem de acontecer na mesma janela que para toda a gente. Começar cedo é sobretudo não ter de disputar mais tarde uma atenção escassa.

A Business Wallet da Credenco foi concebida desde a origem para cumprir os requisitos do eIDAS 2.0. Implementa as W3C Verifiable Credentials, o OpenID4VC para emissão e apresentação de credenciais, e valida a confiança dos emissores em relação às listas de confiança eIDAS da UE, garantindo que cada credencial emitida através da Credenco tem a confiança baseada em normas que o regulamento exige.

As credenciais são guardadas na própria carteira de cada organização, não num registo partilhado, e os titulares divulgam apenas os atributos de que um verificador precisa. Esta arquitetura de privacidade desde a conceção não é uma adaptação posterior: é um princípio de design fundamental, diretamente alinhado tanto com o RGPD como com os requisitos da carteira do eIDAS 2.0.